شناسایی گروه پیشرفته هک سیستم های بانکی

گروه Operation Emmental حملات چند جانبه به بانک سویس انجام داده است. این بانک از سیستم احراز هویت دو وجهی استفاده می کند. هکرهای این گروه، بدافزاری را توسعه داده اند که توکن های بانکی SMS را رهگیری می کند. این توکن ها برای عملیات مجاز و تغییر نام دامنه استفاده می شوند. هکرها با استفاده از این توکن ها کاربران را به سایت های جعلی بانک منتقل می کنند و حملات phishing را انجام می دهند. این گروه اکانت های کاربران از کشورهای مختلف مانند سویس، اتریش، ژاپن و سوئد را به سرقت برده است.

محققان امنیتی با تحلیل کدهای بدافزار توسعه یافته توسط این گروه، آن ها را متعلق به کشور روسیه می دانند.

این گروه با فرستادن ایمیل های جعلی حمله خود را آغاز می کند. برای گمراه کردن کاربران، ایمل ها شکلی رسمی داشته وفرستنده مشخص است. در این ایمیل ها بدافزاری با پسوند .cpl وجود دارد که از نوع آیتم کنترل پنل است.

هنگامی که سیستم کاربر آلوده شد، بدافزار، قربانی را به دامنه هایی که توسط هکرها کنترل می شود، منتقل می کند. این کار از طریق تغییر دادن تنظیمات DNS صورت می گیرد. در این شرایط هنگامی که کاربر می خواهد به سایت بانک خود وصل شود، او به صفحه phishing که هکرها از قبل مانند بانک کاربر طراحی کرده اند، منتقل می شود.

محققان امنیتی 34 بنگاه اقتصادی را یافته اند که مورد حمله این گروه قرار گرفته است. شش عدد در اتریش، پنج عدد در ژاپن، شانزده عدد در سوئیس و هفت عدد در سوئد.

هم چنین این بدافزار گواهینامه SSL را نصب می کند که مانع از هشدار مرورگر،هنگام ورود به این سایت ها می شود.

حملات phishing به منظور دستیابی به اطلاعات کاربران از جمله نام کاربری، شماره اکانت و PIN انجام می شود. هکرها برای گذشتن از سیستم احراز هویت دو وجهی، کاربر را فریب داده و در تلفن همراه او نرم افزار مخرب اندرویدی را نصب می کنند.

این بدافزار یک کد به کاربر نمایش می دهد که باید برای کامل کردن اهرازهویت وارد سایتی جعلی شده و این کد را وارد کند. اما این تنها یک ترفند برای نصب نرم افزاری مخرب در تلفن همراه کاربر است.

توکن های session بانک، توسط SMS به کاربر ارسال می شود. بدافزار این توکن ها را رهگیری کرده و به سرور C&C ارسال می کند. هکرها با استفاده از این توکن ها و دیگر اطلاعاتی که از راه phishing به دست آورده اند از سیستم احراز هویت دو وجهی بانک عبور می کنند.

این بدافزار طوری توسعه یافته که بعد از اتمام کار، خود را پاک می کند. این ویژگی به این دلیل است که بدافزار تا جایی که ممکن است از شناسایی توسط نرم افزارهای امنیتی مصون بماند.

موفقیت حملات این گروه به سیستم های احراز هویت دو وجهی نشان می دهد که بانک ها برای تامین امنیت کاربران و مقابله با بدافزارهای توسعه یافته، باید از سیستم های امنیتی چندلایه استفاده کنند.